记者 李忠 摄

杭州日报 11月17日，某快递公司爆出“40万条个人信息泄露”，很快被上海网信办约谈；接着，另一家快递公司也爆出用户信息被盗，该公司深夜回应：已组织专项小组调查。

人们对个人数据采集的担忧，还不只是快递。前不久，《杭州市物业管理条例（修订草案）》也引发了热议。对于小区安装人脸识别门禁，点赞者称方便小区安保管理，拍砖者则认为随意采集个人信息程序违法，担心数据信息泄露。

这种担忧不无道理。今年11月20日，“人脸识别第一案”在富阳区人民法院公开宣判，判决杭州野生动物世界赔偿浙江理工大学特聘副教授郭兵相应损失并删除其办理指纹年卡时提交的面部特征信息……

将这些信息放在一起不难看出，随着智能手机的普及和智慧城市建设的推进，人们信息也越来越多地被采集，而这些数据的保管、开发、利用，又该怎么监管呢？值得深思。

0.8元-1.0元/条，你的快递信息正在被“贱卖”

近日，某快递公司因40万条快递客户信息被泄露一事被上海网信办约谈，这掀起了快递行业信息数据乱象的“冰山一角”。

事情是这样的：今年8月，犯罪嫌疑人以500元/天的价格租用了该快递公司内部员工系统账号，进入该系统并导出快递用户信息，再通过微信、QQ等方式卖到全国及东南亚等电信诈骗高发区。泄露信息数量超40万条，涉案金额120余万元。

此后不久，另一家快递公司也爆出了用户信息被盗。该公司回应称：已组织专项安全小组现场调查，并配合相关部门严厉打击相关不法行为。

快递用户信息被泄露，引发广大网友热议，一度冲上“热搜”。据澎湃新闻，用户信息遭泄露的不止这两家，可能还涉及德邦、EMS（邮政速递）、韵达等多家快递公司，无论是“内鬼”批量调取，还是网点直接拍运单，在业内都很常见。

据报道，信息买卖已成了一条完整的“产业链”。在贩卖快递信息链条上，不仅有专门的“号贩子”，参与者还有做代购的商家、为商家发货的快递网点员工，甚至包括快递员、自称管理单号的工作人员等快递公司“内鬼”。

泄露的信息包含快递客户姓名、住址、电话等，有的甚至在网上打包出售，每条售价从0.8元至10元不等，有的可一次性出售上万条，甚至可以提供特定地区的快递用户信息。

以志愿者之名，杭州有学生50元钱把自己“卖了”

“明天西湖区人脸识别测试志愿者12人！每人测试2小时左右。内容：人脸识别功能测试，现场配合工作人员在模拟环境下进行测试即可……”

这是发到杭州某大学一所兼职群的信息。记者联系上发该信息的人，对方表示“此号不加人”，并给记者推荐了另外一个人。此人将记者拉到一个微信群，群里已有33人。

记者“按图索骥”来到城西某科技产业园。“你们在1楼沙发上坐一会，工作人员会来带你们的。”联系人一直没有露面。此时，一楼大厅的沙发上已经坐了3个学生模样的女生。约30分钟后，一个工作人员将我们带上楼。这是一家专业从事人工智能的企业。

在办公室的走廊上，工作人员先后采集了同行者的面部、血压等信息，当记者问及这些信息做什么用途时，该工作人员说：“我们也不知道！”

记者问题太多，工作人员将记者支到外面沙发上等候。这时，一个伙子走过来，让记者帮忙录制几段手势视频，“你只要对着镜头缓慢左右移动、上下移动，就可以了”，而问及用途时，小伙子支支吾吾说不出来。最后，记者以等候时间太长为由离开。

据了解，在杭州很多大学的兼职群里，经常有人打着招募志愿者的旗号，低成本采集个人生物信息。这样的志愿者男女不限，15-50岁均可，至于回报，就是测试结束后的50元钱红包。

信息泄露有啥忧患？“过脸产业”了解一下

有人要问了，我们的信息都被拿去做什么呢？

上文说到的圆通快递用户数据泄露后，被犯罪嫌疑人通过微信、QQ等方式卖到全国及东南亚等电信诈骗高发区。这样一来，你就有遭遇电话诈骗的风险。

你一定觉得打款前电话核实一下就没问题了，如果你的声音被克隆了呢？“你只要说几句话，就可以克隆你的声音，可以模仿你的声音给家人打电话，也可以模仿你的声音给孩子讲哄睡故事。”杭州一位从事AI语音人机交互研究的博士说，“克隆语音技术已经很成熟了。”

技术是一把“双刃剑”，像人脸、声音、指纹这些生物识别信息，本身具有很强的“不可更改性”，若流入网络黑市，可能会造成很大的社会危害。

此前，有记者调查发现，为了通过实人认证，达到注册虚假账号或者侵犯他人账号等非法目的，人脸信息已经成为黑灰产的重要交易信息，并催生了“过脸产业”。

什么是“过脸产业”？打个比方，一张静态的人脸图片，通过新技术可将人脸“复活”，甚至做成“动图”，即可完成点头、眨眼、转头等认证指令，可顺利攻破部分软件的人脸识别系统，影响个人生命财产安全。

此前网上公开报道，一些网络黑产从业者利用电商平台，批量倒卖非法获取的人脸等身份信息和“照片活化”网络工具及教程，“人脸数据0.5元一份、修改软件35元一套”。

数据治理博士说：“其实每个人都在裸奔”

“盗卖个人的姓名、电话、住址等信息，已经是最小儿科的了，最可怕的是盗卖你的生物信息，包括你的人脸、声音和基因等信息等。”李伟（化名）说。

李伟是杭州一家数据治理公司的首席数据官，长期从事大数据的采集、整理和挖掘工作。在他看来，在大数据时代，几乎每个人都在“裸奔”。

“从数据采集的角度而言，现在只要你用智能手机，只要用过APP应用，只要你买过快递，在这些企业的数据库里，你几乎就是一个‘玻璃人’。”

而智能手机，还仅仅是一个数据采集的终端。在城市，采集你个人信息的终端还很多。比如，遍布城市的各种摄像头、零售终端、小程序以及办事窗口。

目前，摄像头捕捉人脸静态画面的技术已经相当成熟。“只要你在摄像头范围内，你的生物特征信息、身份证号、出生年月等就形成了一个‘信息包’。在这个过程中，没有人会征求你的意见。”

因为技术的成熟，许多应用开发过程中，可以购买现成的程序模块嵌套进系统，相当于做好了一个成熟的输入、输出接口的代码组件，可以直接实现人脸识别功能。有些这样的模块已经完全免费，因而人脸识别的应用场景得以大面积铺开。

而在李伟眼里，大数据主要集中公安的人口信息库里，此外就是在BTA这些互联网巨头手里。“政府的数据库管理还是比较规范比较安全的，即便是和第三方企业合作都有严格的保密协议，数据乱象主要集中在企业里，虽说企业内部也有一定的风控系统，但也难敌利益的驱使。”

因为信息的可复制性，一旦泄露出去，就很难控制。“就算你能加密，也一定会有破解的办法。”

“市民卡之父”：我们忽视了科技的“副作用”

“我强力反对人脸识别（刷脸）！”在“人脸识别第一案”之后，张旭光在朋友圈感慨。

张旭光是浙江省科技创新创业促进会会长、浙江创建科技有限公司董事长。2002年，他首次提出“市民卡”创新应用设计理念并亲自主持设计开发了杭州市民卡工程，被称为“中国市民卡工程之父”。

他说，从数据收集环节来看，人脸识别具有无意识性和非接触性，可以远距离发挥作用，并能长时间大规模地积累数据，用户无法察觉，具有很强的入侵性。

而从数据保管环节来看，一旦收集主体对数据未善加保护，就可能会导致数据大规模泄露。即使采取了合理的保护措施，也存在被黑客侵入的风险。“由于个人生物信息具有稳定不变形，一旦信息泄露，风险和危害就不可逆转，无法有效弥补。”

张旭光并不是一个技术保守者，相反，他在杭州市民卡之后，还做了很多技术尝试。

在他看来，人脸等生物学数据的泄露，其潜在风险远比家庭住址、手机号码等信息泄露要严重得多。“在全国我们有200多个城市的市民卡工程，有2亿人的数据，一方面，法律上，我们和每个员工都有严格的保密协议；另一方面，技术上，我们用了日志追踪和溯源等技术。”

张旭光说，只要是数据，都有被攻破的风险，何况有的企业推广人脸识别并没有有效的安防措施。“当前的问题是，我们倡导科技强国的同时，忽视了科技创新的‘副作用’，而法律法规又没有跟上，很多人都被各种智慧终端和移动应用‘绑架’了。”

他认为，要想做到数据安全，一方面是数据安全技术要不断升级；另一方面，国家法律法规要跟上。同时，企业的内部管理也不能“拖后腿”，“数据完全，这应该是一个立体的安全防护网”。